En zero-day-sårbarhet är en sårbarhet som angripare utnyttjar innan leverantören vet om den eller innan en patch finns. Namnet kommer från antalet dagar leverantören har haft på sig att åtgärda den: noll. Försvarare har ingen signatur, ingen patch och ingen varning. Angriparen har fördelen tills felet upptäcks och åtgärdas. Zero-day-sårbarheter är värdefulla. Regeringar och kriminella grupper betalar miljoner för dem. Marknaden för exploitmäklare är verklig och lukrativ.

Nolldagarsattacker är sällsynta jämfört med kända sårbarheter. De flesta intrång använder brister som patchades för månader eller år sedan. Patchen var tillgänglig. Ingen installerade den. Det är därför patchning är viktigare än nolldagarsförsvar. När en nolldagarsattack dyker upp är responsen brådskande. Leverantörer arbetar dygnet runt med en fix. Försvarare tillämpar mildrande åtgärder, skärper övervakningen och letar efter tecken på kompromisser. Vissa nolldagarsattacker utnyttjas i riktade attacker mot specifika offer. Andra används i omfattande kampanjer. Stuxnet använde flera nolldagarsattacker för att sabotera Irans kärnkraftsprogram. Det var en nationalstatlig operation med åratal av utveckling. De flesta nolldagarsattacker är mindre dramatiska. De används i det tysta, mot mål som aldrig vet att de träffades. Det bästa försvaret är lager på lager: patchning, segmentering, övervakning och incidentrespons. Ingen enskild kontroll stoppar en nolldagarsattack. Tillsammans köper de tid tills en patch anländer.

Nolldagsfakta

• Ingen patch finns vid tidpunkten för utnyttjandet
• Mycket värdefullt på exploitmarknader
• Sällsynt jämfört med kända sårbarheter
• Används i både riktade och utbredda attacker
• Mildrande åtgärder och övervakning är det tillfälliga försvaret

En nolldags-situation är en kapplöpning. Leverantören tävlar om att patcha. Angriparen tävlar om att utnyttja. Försvararen tävlar om att upptäcka.